Laravel framework TokenGuard · Código de ataque público

PoC pública para bypass crítico no Laravel; FOFA detecta 2,8 milhões expostas

22 de out. de 2026 · 1 min de leitura

Falha crítica no TokenGuard do Laravel (CVE-2026-114509, CVSS 9,2) permite que atacante não autenticado se passe por qualquer usuário existente sem o token de API dele, sob certas configurações MySQL/MariaDB. Uma PoC pública circula e o FOFA aponta mais de 2,8 milhões de instalações Laravel expostas à internet; as fontes não relatam exploração em produção. Atualize para laravel/framework 12.68.0 ou 13.29.0.

Por Redação HIFY Radar Atualizado 26/10/2026 16:10 Receba isso todo dia →← Voltar ao feed 4 fontes

CríticaFalhaCódigo de ataque públicoCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

O Laravel corrigiu uma falha crítica de autenticação no TokenGuard (CVE-2026-114509). Um atacante sem credenciais podia se autenticar como qualquer usuário existente de uma API, sem conhecer o token dele. A falha depende de certas configurações de banco MySQL ou MariaDB e já existe prova de conceito pública.

Por que importa

Rotas de API protegidas pelo guard afetado ficam abertas a tomada de conta, com acesso aos dados e às ações do usuário alvo. Segundo o FOFA, há mais de 2,8 milhões de instalações Laravel expostas à internet, o que amplia o alvo. A gravidade é crítica, com nota CVSS 9,2.

O que fazer

Atualize o pacote laravel/framework para 12.68.0 na linha 12 ou 13.29.0 na linha 13. Depois, revise os logs de autenticação de API em busca de acessos anômalos e confirme quais aplicações usam autenticação por token de API.

Para o time técnico

CVE: CVE-2026-114509
Afetados: Laravel framework TokenGuard (laravel/framework) · laravel/framework < 12.68.0; laravel/framework >= 13.0.0, < 13.29.0 (Composer).
Exploração: PoC pública circulando, segundo a linha do tempo do incidente e o post do @fofabot. Nenhum relato de exploração em produção nas fontes. EPSS de 0,696% (percentil 53) no advisory do GitHub.
Correção: Atualizar para laravel/framework 12.68.0 (linha 12) ou 13.29.0 (linha 13). Commits de correção citados no advisory: 8dbb08b e 9b21ce0.
Vetor: TokenGuard do Laravel configurado como guard de API padrão baseado em token. Sob certas configurações de banco (MySQL/MariaDB), uma credencial não-string especialmente construída é mal processada na busca de autenticação e faz a consulta casar com registro de usuário não pretendido. Explorável pela rede, sem privilégios prévios e sem interação do usuário (CVSS v4 9,2, AT:P).
Mais detalhes: Advisory GHSA-f9x3-7vq9-cph6 publicada por andrei-laravel em 19/10/2026, publicada na NVD em 21/10/2026 e revisada em 23/10/2026. CWE-287 (autenticação imprópria) e CWE-1287 (validação imprópria de tipo de entrada). Varredura FOFA com a consulta app="Laravel-Framework" identificou mais de 2,8 milhões de superfícies Laravel expostas à internet no último ano, segundo o @fofabot.

Linha do tempo

26/10/2026 16:10
PoC pública circula e varredura do FOFA identifica mais de 2,8 milhões de instalações Laravel expostas na internet.
26/10/2026 13:11
Incidente aberto.